Phân tích kỹ thuật: Chuỗi tấn công DDoS quy mô lớn nhắm vào hạ tầng mạng Triều Tiên

• Sự cố gián đoạn: Hơn 40 trang web sử dụng tên miền .kp đã bị vô hiệu hóa trong khoảng 32 giờ do các đợt tấn công DDoS liên tục.
• Cơ chế tấn công: Lưu lượng truy cập bất thường bắt nguồn từ nhiều quốc gia như Việt Nam, Philippines và Venezuela, gây quá tải hạ tầng mạng.
• Tác động hạ tầng: Các khối mạng quan trọng bao gồm 175.45.176.0/24 và 175.45.178.0/24 đã phải thay đổi lộ trình định tuyến để ứng phó với sự cố.
• Kết luận chuyên gia: Dữ liệu từ Kentik khẳng định đây là một cuộc tấn công DDoS có chủ đích, dù danh tính kẻ tấn công vẫn chưa được xác định.

Tổng quan về chiến dịch tấn công DDoS

Trong tuần qua, hạ tầng internet công cộng của Triều Tiên đã phải đối mặt với một loạt các đợt tấn công từ chối dịch vụ phân tán (DDoS) quy mô lớn. Sự cố này đã khiến nhiều trang web quan trọng của nhà nước, bao gồm Bộ Ngoại giao và Thông tấn xã Trung ương Triều Tiên, rơi vào trạng thái không thể truy cập trong thời gian dài.

Theo báo cáo từ Doug Madory, Giám đốc phân tích internet tại Kentik, các đợt tấn công không diễn ra liên tục mà được chia thành nhiều đợt sóng lưu lượng truy cập đột biến. Dữ liệu tổng hợp cho thấy lưu lượng tấn công bắt nguồn từ nhiều quốc gia khác nhau, bao gồm Việt Nam, Philippines và Venezuela, bắt đầu từ 02:01 UTC ngày 20 tháng 10.

Phân tích kỹ thuật và các chỉ số hạ tầng

Các nhà nghiên cứu bảo mật đã tập trung phân tích sự thay đổi trong bảng định tuyến BGP và các khối mạng bị ảnh hưởng trực tiếp. Việc gián đoạn không chỉ nằm ở lớp ứng dụng mà còn tác động sâu đến lớp hạ tầng định tuyến tên miền (DNS) của quốc gia này.

Dưới đây là quan sát về sự thay đổi lộ trình định tuyến trong quá trình xảy ra sự cố:

# Quan sát thay đổi định tuyến BGP cho khối mạng 175.45.176.0/24 175.45.178.0/24 175.45.176.0/24 -> Chuyển từ Cenbong (AS134544) sang Transtelecom (AS20485) 175.45.178.0/24 -> Chuyển sang Transtelecom trước khi quay lại Cenbong

Cơ chế tấn công và thách thức trong điều tra

Mặc dù các bằng chứng kỹ thuật về lưu lượng truy cập đã được xác nhận, việc quy kết trách nhiệm cho một nhóm cụ thể vẫn là một thách thức lớn. Các cuộc tấn công DDoS hiện đại thường sử dụng mạng lưới botnet bao gồm các thiết bị IoT bị chiếm quyền điều khiển như router và camera an ninh, cho phép kẻ tấn công phân tán nguồn phát từ nhiều vị trí địa lý khác nhau.

⚠️ Cảnh báo quan trọng: Các tổ chức cần chủ động tích hợp các nguồn dữ liệu Threat Intelligence (TI Feeds) từ các trung tâm điều hành an ninh mạng (SOC) để phát hiện sớm các dấu hiệu bất thường trong lưu lượng truy cập. Việc giám sát chặt chẽ các thay đổi trong bảng định tuyến BGP là yếu tố then chốt để phát hiện các cuộc tấn công nhắm vào hạ tầng mạng cốt lõi.

Khuyến nghị phòng thủ cho quản trị viên mạng

• Giám sát lưu lượng: Thiết lập ngưỡng cảnh báo cho các lưu lượng truy cập bất thường từ các dải IP quốc tế không nằm trong phạm vi hoạt động bình thường.
• Hardening hạ tầng: Tăng cường cấu hình cho các thiết bị biên (Edge Devices) và đảm bảo các bản vá bảo mật mới nhất được áp dụng để ngăn chặn việc bị lợi dụng vào mạng lưới botnet.
• Phân tích định tuyến: Sử dụng các công cụ giám sát BGP để phát hiện kịp thời các thay đổi lộ trình bất thường, vốn có thể là dấu hiệu của việc bị tấn công hoặc chiếm quyền điều khiển hạ tầng.

Sự cố này một lần nữa nhấn mạnh tầm quan trọng của việc kết hợp giữa kiểm tra tính sẵn sàng của website và đo lường lưu lượng mạng thực tế trong quá trình điều tra sự cố an ninh mạng. Mặc dù các dịch vụ đã được khôi phục sau khoảng 32 giờ, quy mô thực sự của cuộc tấn công và danh tính của các tác nhân đe dọa vẫn là những ẩn số cần tiếp tục được làm rõ bởi cộng đồng an ninh mạng quốc tế. Bạn có thể tham khảo thêm các tài liệu về kỹ thuật tấn công tại MITRE ATT&CK để hiểu rõ hơn về các phương thức DDoS phổ biến hiện nay.